問69
頻出度★★★
ソーシャルエンジニアリングによる被害に結びつきやすい状況はどれか。
平成27年度 春期 ITパスポート試験 問69
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 69
- ア
正解 社会工程学是指不使用计算机或网络技术，而是利用人在心理上的疏漏和不注意，非法获取密码或机密信息的各种手法的总称。具体例子有：冒充上司或客户通过电话套取密码；伪装成维修人员混入公司内部；从旁边偷看屏幕或键盘输入（肩窥，即 shoulder hacking）；翻找垃圾桶里的文件（垃圾搜寻 / trashing）等。这些手法的攻击目标都不是设备，而是「人」，因此对策的核心是教育、提升意识以及严格执行运维管理规定。所以，容易造成损害的情况就是处理信息的人安全意识低下的状态，即 ア 的「运维负责人员的安全意识较低。」为正确答案。安全意识低下时，容易出现不确认对方身份就告知密码、不核实来访者身份就放其进入室内等行为，而这正是社会工程学得以成立的条件。
错误イ
服务器机房天花板没有采取防水措施，属于漏水、渗水导致设备故障或系统停机这类物理性威胁（自然灾害、设施事故）的问题，与欺骗他人套取信息的社会工程学没有关系。
错误ウ
没有对服务器实施访问控制，属于技术性对策（认证与授权配置）的缺失。它会导致非法访问以及数据被篡改或泄露，但这是设备和系统一侧的弱点，与利用人的心理弱点的手法是两回事。
错误エ
通信路径没有加密，直接关系到窃听（嗅探）和中间人攻击等通信线路上的技术性威胁，其对策也是加密技术（如 TLS），并不适用于属于人的意识问题的社会工程学。
ここがポイント
- 社会工程学 = 不靠技术，而是利用人心理上的疏漏和不注意来获取信息的手法（冒充身份的电话、肩窥、翻垃圾等）。被攻击的对象是「人」，因此原因在于人的脆弱性（安全意识低下）。
- 整理威胁与对策的对应关系：人为威胁对应教育、意识提升和运维管理规定；技术性威胁对应访问控制和加密；物理性威胁对应出入管理、防水防火等设施措施——按这三类来思考。
用語